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Il presente documento intende informarla sul trattamento dei dati personali (cioè 
sull’utilizzo delle informazioni che la riguardano) correlato alla gestione del rapporto di 
lavoro. 


Le informazioni sul trattamento sono in generale un diritto dell'interessato, cioè del 
soggetto cui i dati personali si riferiscono, e sono un obbligo per il Titolare del trattamento 
(il soggetto che stabilisce lo scopo e i mezzi — cioè le modalità di realizzazione, sia da un 
punto di vista tecnico che organizzativo - del trattamento, nel nostro caso l'Azienda 
Ospedaliero-Universitaria Careggi stessa). 


1. Trattamento dei dati personali 


Si parla di trattamento di dati personali in relazione ad ogni operazione compiuta sui dati 
personali. Sono dati personali le informazioni (ad es. dati anagrafici, recapito, codice 
fiscale, numero di matricola ecc. o altri dati particolari, quali ad es. le informazioni sullo 
stato di salute) che riguardano una persona fisica, il cd. interessato. Tali dati sono: 


- trattati nel rispetto dei principi di liceità, correttezza e trasparenza; 

- utilizzati dal personale autorizzato nel rispetto del segreto professionale e del 
segreto d'ufficio; 

- raccolti e registrati per finalità determinate e per le ulteriori finalità con esse 
compatibili; 

- conservati in una forma che permetta l’'identificazione dell'interessato per il 
periodo di tempo necessario al conseguimento delle finalità suddette ovvero per 


il maggior periodo di tempo stabilito dalle normative di settore e dal 
massimario aziendale per la conservazione e lo scarto della documentazione 
d'archivio; 


- adeguati, pertinenti e limitati rispetto alle finalità per cui sono raccolti; 
- esatti e, se necessario, aggiornati. 
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2. Finalità e base giuridica del trattamento dei dati personali 


Affinché un trattamento di dati sia lecito esso deve avere una base giuridica, ovvero deve 
rispettare alcune condizioni, presupposti e finalità previste e consentite dalla vigente 
normativa; i riferimenti normativi fondamentali in materia di protezione dei dati personali 
sono i seguenti: 


- il Regolamento generale 2016/679/UE relativo alla protezione delle persone fisiche 
con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali 
dati ... (di seguito: Regolamento Generale); 

- il D.Lgs. 30 giugno 2003, n. 196 Codice in materia di protezione dei dati personali, 
recante disposizioni per l'adeguamento dell'ordinamento nazionale al regolamento 
(UE) n. 2016/679 ... (di seguito: Codice. Si precisa che se il Codice, fin 
dall'adozione, ha subito molte modifiche, con l'adozione del Regolamento 
Generale, che ha abrogato la Direttiva 46/95 sul quale il Codice stesso — così come 
la precedente L. 675/1996 — si fondava, su di è esso è stato effettuato, con il D.Lgs. 
101/2018 un radicale intervento di adeguamento). 


In generale, infatti, possono individuarsi tre macrocategorie di dati personali: 


- categorie particolari di dati personali di cui all’art. 9 del Regolamento Generale: per 
quanto di interesse, dati relativi alla salute, dati personali che rivelano le opinioni 
politiche, le convinzioni religiose o filosofiche, o l'appartenenza sindacale (sono 
quelli, con qualche integrazione, che nella precedente versione del Codice erano 
detti “dati sensibili”); 

- dati relativi alle condanne penali e ai reati o a connesse misure di sicurezza all'art. 
10 del Regolamento Generale (già “dati giudiziari”); 

- dati personali diversi dalle tipologie sopra indicate, e che possiamo chiamare dati 
comuni. 


Le informazioni che La riguardano sono utilizzate per: 


- adempimenti amministrativi, gestionali e contabili legati alla instaurazione, gestione 
ed estinzione del rapporto di lavoro; 

- applicazione della normativa in materia di collocamento obbligatorio e assunzione di 
personale anche appartenente a categorie protette; 
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- accertamento del possesso di particolari requisiti previsti per l’accesso a specifici 
impieghi, ovvero la sussistenza dei presupposti per la sospensione o la cessazione 
dall'impiego o dal servizio; 

-  assolvimento degli obblighi normativamente previsti per il trattamento giuridico ed 
economico del personale; 

-  assolvimento degli obblighi normativi e di contratto, inclusi quelli derivanti dal 
contratto elaborazione, liquidazione e corresponsione della retribuzione, degli 
emolumenti, dei compensi dovuti e relativa contabilizzazione; 

- adempimenti di obblighi derivanti da leggi, contratti, regolamenti in materia di 
previdenza e assistenza anche integrativa e complementare, di igiene e sicurezza 
del lavoro, in materia fiscale, in materia assicurativa; 

- tutela dei diritti in materia giudiziaria; 

- gestione dell'anagrafe dei pubblici dipendenti e applicazione della normativa in 
materia di incarichi, collaborazioni e consulenze; 

- adempimenti connessi alla normativa in materia di anticorruzione e trasparenza; 

- svolgimento di attività di controllo e ispettive; 

- gestione del contenzioso; 

- accertamento della responsabilità civile, disciplinare, dirigenziale, amministrativa e 
contabile; 

- applicazione della normativa in materia di incompatibilità e rapporti di lavoro a 
tempo parziale; 

- gestione delle attività relative alla formazione del personale; 

- valutazione della qualità delle prestazioni rese e dei risultati conseguiti; 

- valutazione e monitoraggio del clima organizzativo; 

- gestione di situazioni di inabilità al servizio; 

- finalità connesse all'attività istituzionale dell Azienda; 

- altre finalità di rilevante interesse pubblico previste dalla normativa vigente. 


| dati personali saranno trattati esclusivamente dal personale dell'Azienda appositamente 
incaricato, secondo le vigenti disposizioni di legge e di regolamento e nel rispetto del 
principio di stretta indispensabilità dei trattamenti. 


La base giuridica del trattamento è individuata, per i dati diversi da quelli afferenti alle 
“categorie particolari di dati” (si tratta dei dati già definiti “sensibili”, oltre a quelli genetici e 
biometrici) di cui all'art. 9 ed ai “dati relativi a condanne penali e reati” di cui all’art 10 del 
Regolamento, nell'art. 6 paragrafo 2 lettere c), e), f) del Regolamento stesso. 
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Per quanto riguarda le “categorie particolari di dati”, la base giuridica del trattamento è 
individuata nell’art. 9 paragrafo 2 lettere b), f), g), h) del Regolamento; per quanto riguarda 
la lettera g), ai sensi dell'art. 2 sexies comma 2 lettera dd) del Codice, per gli Enti afferenti 
al Sistema Sanitario Toscano i trattamenti devono essere conformi anche alle regole 
dettate dal Regolamento di cui al D.P.G.R. 12 Febbraio 2013 N. 6/R recante l'elenco dei 
trattamenti di dati sensibili e giudiziari di competenza della Aziende Sanitarie di Regione 
Toscana. 


Per quanto riguarda il trattamento dei dati relativi a condanne penali e reati, la base 
giuridica del trattamento è individuata nell’art. 2 octies comma 3 lettera a) del Codice. 


Per quanto riguarda il trattamento di dati idonei a rivelare lo stato di salute riferiti al 
dipendente, l'Azienda si impegna ad osservare particolari cautele. Nel trattamento di 
queste informazioni l'Azienda rispetta anzitutto i princìpi di necessità e di indispensabilità, 
valutando specificamente il rapporto tra tali dati e gli adempimenti derivanti da compiti e 
obblighi di volta in volta previsti dalla legge o dai regolamenti. | dati idonei a rivelare lo 
stato di salute, inoltre, non saranno diffusi. 

La normativa sul rapporto di lavoro legittima il trattamento dei dati relativi a casi di 
infermità che determinano un'incapacità lavorativa (temporanea o definitiva), con 
conseguente accertamento di condizioni di salute del lavoratore da parte dell'Azienda, 
anche al fine di accertare l'idoneità al servizio, alle mansioni o allo svolgimento di un 
proficuo lavoro (vi rientra l'informazione relativa all'assenza dal servizio per malattia). Non 
diversamente, il datore di lavoro può in vari casi trattare legittimamente dati relativi 
all'invalidità o all'appartenenza a categorie protette, nei modi e per le finalità prescritte 
dalla normativa in materia. 

Sussistono specifici obblighi normativi nei riguardi del lavoratore per consentire al datore 
di lavoro di verificare le sue reali condizioni di salute. Il lavoratore deve fornire 
all'amministrazione di appartenenza un'apposita documentazione a giustificazione 
dell'assenza, consistente in un certificato medico contenente la sola indicazione dell'inizio 
e della durata presunta dell'infermità. L'Azienda non è legittimata a raccogliere, a questo 
fine, certificazioni mediche contenenti anche l'indicazione della diagnosi: qualora il 
lavoratore produca documentazione medica recante anche l'indicazione della diagnosi 
insieme a quella della prognosi, l'Azienda si asterrà dall'utilizzare tali informazioni 
invitando l’interessato a non produrne altre con le medesime caratteristiche. 

In linea generale l'Azienda, relativamente alle visite fiscali effettuate per suo conto da 
medici ASL, è legittimata a conoscere i dati personali dei lavoratori e la prognosi 
riscontrata, ancora con esclusione di qualsiasi informazione attinente alla diagnosi. 
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In tale quadro, l'Azienda, al fine di far valere i propri diritti in relazione a fenomeni di 
ritenuto assenteismo e di eventuale non veritiera certificazione sanitaria, può redigere note 
informative, segnalazioni o denunce contenenti anche riferimenti circostanziati alle ragioni 
e alle modalità delle singole assenze, individuandone i destinatari nel rispetto dei princìpi 
di indispensabilità, pertinenza e non eccedenza. 


Vi sono invece casi in cui l'Azienda può senz'altro venire a conoscenza della diagnosi di 
malattia. E il caso della denuncia all'Inail avente ad oggetto infortuni e malattie 
professionali occorsi ai lavoratori; essa, infatti, per espressa previsione normativa, deve 
essere corredata da specifica certificazione medica (artt. 13 e 53 Dd.P.R. n. 1124/1965), 
ed in tali casi l'Azienda può dunque conoscere la diagnosi; l'Azienda deve comunque 
comunicare all'INAIL solo le informazioni sanitarie relative o collegate alla patologia 
denunciata, anziché dati sulla salute relativi ad altre assenze che si siano verificate nel 
corso del rapporto di lavoro, la cui comunicazione sia eccedente e non pertinente. 


L'Azienda può trattare legittimamente dati idonei a rivelare lo stato di salute dei propri 
dipendenti o incaricati anche per riconoscere la dipendenza da causa di servizio, per 
concedere trattamenti pensionistici di privilegio o l'equo indennizzo (ad esaurimento) 
ovvero per accertare, sempre per fini pensionistici, la sussistenza di stati invalidanti al 
servizio o di inabilità non dipendenti da causa di servizio. Nel disporre tali accertamenti 
l'Azienda può comunicare ai collegi medici competenti i dati personali dell'interessato dei 
quali disponga, nel rispetto del principio di indispensabilità. 

Invece, nel caso di accertamenti sanitari finalizzati ad accertare l'idoneità al servizio, alle 
mansioni o a proficuo lavoro del lavoratore, la SOD Medicina del lavoro trasmette il 
relativo verbale di visita con la sola indicazione del giudizio medico-legale di idoneità, 
inidoneità o di altre forme di inabilità. 


Altri casi nei quali può effettuarsi un trattamento di dati relativi alla salute del lavoratore (e 
anche di suoi congiunti), al fine di permettergli di godere dei benefici di legge sono 
collegati alle agevolazioni previste per l'assistenza a familiari disabili, ai permessi retribuiti 
e ai congedi per gravi motivi familiari. Se in occasione di istanze volte ad usufruire dei 
congedi a favore dei familiari disabili in situazione di gravità, il lavoratore deve presentare 
all’Azienda una certificazione dalla quale risulti esclusivamente l'accertata condizione di 
handicap grave, per cui l'Azienda non deve venire a conoscenza di informazioni relative 
alla diagnosi o all'anamnesi del congiunto portatore di handicap, diversamente, per 
usufruire di permessi o congedi per gravi infermità o altri gravi motivi familiari, il lavoratore 
è tenuto per legge a produrre idonea documentazione medica attestante le gravi infermità 
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o le gravi patologie da cui risultano affetti i propri familiari. Allo stesso modo l’Azienda può 
legittimamente venire a conoscenza dello stato di tossicodipendenza di un proprio 
dipendente o di un familiare di questi, in caso di richieste di accesso o concorso a 
programmi riabilitativi o terapeutici con conservazione del posto di lavoro (senza 
retribuzione), atteso l'onere di presentare (nei termini prescritti dai contratti collettivi e dagli 
accordi di lavoro per il pubblico impiego) specifica documentazione medica al datore di 
lavoro. 


| dati personali che rivelino le opinioni politiche o l'appartenenza sindacale, o l'esercizio di 
funzioni pubbliche o di incarichi politici, di attività o incarichi sindacali possono essere 
trattati esclusivamente ai fini della fruizione di permessi o periodi di aspettativa riconosciuti 
dalla legge (0, eventualmente, da contratti collettivi anche aziendali), per gli adempimenti 
connessi al versamento delle quote di iscrizioni e l'esercizio dei diritti e prerogative 
politiche e sindacali. 


| dati relativi a condanne penali e reati possono essere trattati nell’ambito delle procedure 
concorsuali ai fini della verifica del possesso dei requisiti di ammissione e di verifica sulle 
autocertificazioni. 


Dati relativi alle convinzioni di carattere religioso o filosofico possono essere trattati, nei 
casi previsti dalla legge, per l’esercizio della obiezione di coscienza. 


In riferimento ad obblighi di trasparenza, al dipendente possono essere richieste alcune 
dichiarazioni inerenti interessi che potrebbero entrare in contrasto con quelli istituzionale, e 
comunque relativi alla propria vita privata. E’ il caso della comunicazione della adesione o 
appartenenza ad associazioni od organizzazioni (salva l'adesione a partiti politici o a 
sindacati) i cui ambiti di interessi possano interferire con lo svolgimento dell'attività 
dell'ufficio, ai sensi dell'art. 5 del DPR 62/2013 (si precisa che i dati relativi all'adesione ad 
alcune associazioni sono qualificabili quali dati che rivelano le convinzioni religiose o 
filosofiche). La dichiarazione può essere progressivamente aggiornata dal dipendente; 
essa viene consolidata e salvata trimestralmente, e conservata per 5 anni. 


Il trattamento di dati (immagini) nell’ambito delle attività di videosorveglianza/videocontrollo 
è posta in essere dall Azienda ai fini di protezione del patrimonio aziendale, protezione e 
incolumità delle persone che accedono e/o sostano negli ambienti interni/esterni delle 
strutture aziendali e per la gestione dell'accesso di persone fisiche e automezzi ad aree ad 
accesso controllato, nel rispetto delle norme in materia di divieto di controllo a distanza dei 
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lavoratori. Per l'attivazione e l’utilizzo degli impianti sono rispettate le garanzie e le 
procedure di cui all'art. 4 della legge n.300/1970. In particolare è vietata l'installazione di 
apparecchiature specificatamente preordinate a verificare l'osservanza dei doveri di 
diligenza stabiliti per il rispetto dell'orario di lavoro e la correttezza nell'esecuzione della 
prestazione lavorativa. 


Il conferimento dei dati è obbligatorio in quanto previsto dalla normativa vigente ed è 
indispensabile a questa Azienda per lo svolgimento degli obblighi istituzionali. Il consenso 
non è richiesto in quanto l’Azienda può trattare senza necessità di consenso i dati 
personali dell'interessato, anche le c.d. “categorie particolari di dati” di cui all'art. 9 e i dati 
relativi a condanne penali e reati di cui all’art. 10 del Regolamento Generale, poiché tali 
trattamenti sono necessari per assolvere gli obblighi ed esercitare i diritti specifici del 
titolare del trattamento o dell’interessato in materia di diritto del lavoro, e della sicurezza 
sociale e protezione sociale previsti dalle disposizioni di legge e dei contratti collettivi e 
per motivi di rilevante interesse pubblico. 


Modalità di trattamento dei dati 

I dati personali sono trattati su supporti informatici o cartacei. | dati personali sono 
comunque trattati con misure e cautele atte a garantirne la sicurezza, la riservatezza e 
l'accesso al solo personale specificamente autorizzato. 

I dati sono conservati per il tempo previsto dalla vigente normativa e dal massimario 
aziendale per la gestione e lo scarto degli atti d'archivio. E’ possibile che i dati personali 
possano essere trasferiti a soggetti di un altro paese, anche all'esterno dell'Unione 
Europea, se previsto da un obbligo di legge oppure in assolvimento di obblighi contrattuali 
verso un Responsabile del trattamento nominato dall'Azienda. In tal caso i trasferimenti 
saranno effettuati nel pieno rispetto del Regolamento. 

L'Azienda garantisce la sicurezza, la disponibilità e l’integrità dei sistemi informatici nel 
rispetto dei principi e delle misure di sicurezza di cui alla normativa vigente. In particolare, 
l'Azienda definisce le modalità di utilizzo della posta elettronica e della rete internet da 
parte del personale e le modalità di effettuazione di eventuali controlli sui comportamenti 
degli utilizzatori. 


Comunicazione, trasmissione e diffusione dei dati 
| dati relativi alla salute, che rivelino l'appartenenza sindacale e tutte le altre particolari 
categorie di dati indicate all’art.9 e all’art.10 del Regolamento non sono oggetto di 
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diffusione (non possono cioè essere resi noti ad un numero indeterminato di soggetti); 
possono invece essere comunicati, nei casi previsti da norme di legge o di regolamento, a 
soggetti pubblici e privati, enti ed istituzioni per il raggiungimento delle rispettive finalità. 


A titolo di esempio, si riportano alcuni soggetti cui l'Azienda può comunicare i suoi dati: 


- Regione Toscana per i dati anagrafici per l'aggiornamento del Ruolo Nominativo 
Regionale; 

- Forze dell'Ordine ed Autorità Giudiziaria; 

- soggetti qualificati ad intervenire in controversie in cui è parte l’Azienda (compagnie 
assicurative, studi legali ecc.); 

- enti assistenziali e previdenziali INPS/INAIL per gli scopi connessi ai diritti della 
persona assistita; 

- istituti di credito; 

- società finanziarie; 

- uffici del Ministero del lavoro e dell amministrazione finanziaria; 

- amministrazioni verificanti in sede di controllo delle dichiarazioni sostitutive rese ai 
sensi del dpr 445/2000; 

- associazioni sindacali per gli adempimenti connessi al versamento delle quote 
sindacali e alla gestione dei permessi sindacali e nei casi in cui i contratti collettivi 
prevedano espressamente che l'informazione sindacale abbia ad oggetto anche i 
nominativi del personale; 

- altre pubbliche amministrazioni cui vengono comandati i dipendenti o assegnati 
nell’ambito della mobilità; 

- ulteriori soggetti cui la comunicazione è dovuta per assolvere a obblighi di legge. 


Si indicano, in particolare, alcuni casi di comunicazione di dati personali sensibili o 
latamente riservati cui l’amministrazione è tenuta: 


- alla commissione Medica di Verifica di Firenze nel caso di cambio di qualifica per 
inidoneità psico-fisica; 

- alla Città Metropolitana di Firenze — Servizio Politiche del Lavoro e Sociali per la 
Denuncia invalidi; 

- ala Commissione Medica di Verifica per accertamenti sanitari al fine di un 
eventuale conferimento della pensione di inabilità. 
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In particolare, relativamente allo stato di invalidità, si evidenzia che l'Azienda comunica in 
via telematica alla Città Metropolitana di Firenze — Servizio Politiche del Lavoro e Sociali, 
un prospetto informativo da cui risulta il numero complessivo dei lavoratori dipendenti, il 
numero e i nominativi (dati anagrafici, percentuale di invalidità, data inizio rapporto di 
lavoro, qualifica e orario di lavoro, tipo e categoria di assunzione “protetta” es. 
disabile/categoria protetta, numerica /nominativa) dei dipendenti computabili nella quota 
di riserva di cui all'art. 3 della L. 68/99 e ss.mm.ii. nonché i posti di lavoro e le 
mansioni disponibili per i lavoratori di cui all'articolo 1 della citata legge, per 
l'alimentazione della "Banca dati del collocamento mirato" al fine di promuovere 
l'inserimento e l'integrazione lavorativa delle persone disabili nel mondo del lavoro. 


Fuori dei casi in cui la divulgazione di dati personali sia specificamente regolata da 
puntuali previsioni normative l'Azienda si impegna ad utilizzare forme di comunicazione 
individualizzata con il lavoratore, adottando le misure più opportune per prevenire la 
conoscibilità ingiustificata di dati personali, in particolare se sensibili, da parte di soggetti 
diversi dal destinatario, ancorché incaricati di talune operazioni di trattamento: ad 
esempio, inoltrando le comunicazioni in plico chiuso o spillato; invitando l'interessato a 
ritirare personalmente la documentazione presso l'ufficio competente; ricorrendo a 
comunicazioni telematiche individuali. 


Nel caso in cui un soggetto esterno svolga attività di trattamento dati per conto 
dell'Azienda, come nel caso di servizi affidati a soggetti esterni per il trattamento giuridico 
ed economico dei dipendenti, il trattamento dei dati personali necessari si svolge sulla 
base di un contratto con il fornitore che precisa le rispettive responsabilità nel trattamento 
e costituisce la base giuridica che lo consente. Tali soggetti sono individuati quali 
Responsabili del trattamento secondo le modalità di cui all’art. 28 del Regolamento 
Generale, e sono ricondotti nell’ambito di trattamento del titolare: la messa a disposizione 
di dati personali a tali soggetti non richiede il consenso dell'interessato. Alcuni trattamenti 
di dati di dipendenti connessi alle funzioni trasferite ad ESTAR (gestione economica del 
dipendente, ICT, concorsi, ecc.) ai sensi dell'art. 101 della L.R. 40/2005 sono effettuati, in 
nome œ per conto dell'Azienda, da tale ente, individuato quale responsabile del 
trattamento. 


L'Azienda può diffondere i dati personali relativi al lavoratore solo nei casi espressamente 
previsti da norme di legge o di regolamento, anche mediante l'utilizzo di tecnologie 
telematiche (ad. es. per assolvere agli obblighi previsti dalla normativa in materia di 
trasparenza), in ogni caso nel rispetto delle cautele previste dall'Autorità Garante per la 
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protezione dei dati personali. In ogni caso è esclusa la diffusione di informazioni idonee a 
rivelare lo stato di salute dell’interessato. 


Relativamente alla pubblicazione di graduatorie e di esiti di selezioni pubbliche, la 
diffusione di dati che l'Azienda può lecitamente porre in essere in base a specifiche 
previsioni legislative o regolamentari, avrà ad oggetto solo i dati personali pertinenti e non 
eccedenti ai fini del corretto espletamento della procedura selettiva e della sua 
rispondenza ai parametri stabiliti nel bando (elenchi nominativi ai quali vengano abbinati i 
risultati di prove intermedie, elenchi degli ammessi alle prove scritte o orali, punteggi riferiti 
a singoli argomenti di esame; punteggi totali ottenuti).Non saranno invece riportate negli 
atti delle graduatorie da pubblicare altre tipologie di informazioni non pertinenti quali, ad 
esempio, recapiti di telefonia fissa o mobile o il codice fiscale. Anche in tale ambito 
l'Azienda può legittimamente avvalersi delle nuove tecnologie per facilitare le 
comunicazioni con gli interessati riguardanti concorsi o selezioni pubbliche, mediante, ad 
esempio, la ricezione on-line di domande di partecipazione. 


Specifici obblighi normativi impongono all'Azienda di rendere noti, attraverso il proprio sito 
Internet, determinati dati personali concernenti i propri dipendenti o incaricati: ad es. 
organigramma degli uffici con l'elenco dei nominativi dei dirigenti, elenco delle caselle di 
posta elettronica istituzionali, di struttura e personali attive. A tale proposito si ricorda che, 
ai sensi dell'art. 7 bis comma 5 del D del già richiamato D.Lgs.33/2013 così come 
modificato dal D.Lgs. 97/2016, “Le notizie concernenti lo svolgimento delle prestazioni di 
chiunque sia addetto a una funzione pubblica e la relativa valutazione sono rese 
accessibili dall'amministrazione di appartenenza”, anche a seguito di specifica istanza. 
“Non sono invece ostensibili, se non nei casi previsti dalla legge, le notizie concernenti la 
natura delle infermità e degli impedimenti personali o familiari che causino l'astensione dal 
lavoro, nonché le componenti della valutazione o le notizie concernenti il rapporto di lavoro 
tra il predetto dipendente e l'amministrazione, idonee a rivelare taluna delle informazioni di 
cui alle categorie particolari di dati di cui all’art. 9 del Regolamento Generale. 


Un caso di diffusione di dati personali cui il dipendente o incaricato è tenuto e che 
l'Azienda deve assicurare riguarda l'esibizione del cartellino identificativo, ai sensi dell'art. 
69 del decreto legislativo n. 150/2009, che ha introdotto nel D.Lgs. 30 marzo 2001 n. 165 
un articolo 55 novies il quale prevede al comma 1 che “I dipendenti delle amministrazioni 
pubbliche che svolgono attività a contatto con il pubblico sono tenuti a rendere conoscibile 
il proprio nominativo mediante l'uso di cartellini identificativi o di targhe da apporre presso 
la postazione di lavoro”.Il cartellino, laddove non sostituibile con la “targa”, deve dunque 
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comprendere il nominativo, cioè il nome giuridico (prenome/cognome) del lavoratore. Tale 
disposizione è esecutiva dal 13 febbraio 2010.Si tratta, osserva poi la circolare esplicativa 
n. 3/2010 della Dipartimento della Funzione Pubblica“ di un contenuto minimo, e 
l'Amministrazione può valutare se e quando attuare l’identificazione attraverso ulteriori 
elementi soprattutto in riferimento al ruolo del soggetto nell’ambito dell’organizzazione: 
posizione professionale, profilo, qualifica se dirigente, ufficio di appartenenza”. 


L’art. 32 comma 1 della 69/2009 ha previsto che “A far data dal 1° gennaio 2010, gli 
obblighi di pubblicazione di atti e provvedimenti amministrativi aventi effetto di pubblicità 
legale si intendono assolti con la pubblicazione nei propri siti informatici da parte delle 
amministrazioni e degli enti pubblici obbligati”. Alcune informazioni di carattere personale 
riferite a dipendenti — qualora non coperte da riservatezza — possono dunque essere 
diffuse sull’albo pretorio aziendale on line se contenute in provvedimenti oggetto di 
pubblicazione. 


La disciplina in materia di trasparenza - il già richiamato D.Lgs.33/2013 così come 
modificato dal D.Lgs. 97/2016 — e prima di essi il D.Lgs. 27ottobre 2009 n. 150 Attuazione 
della legge 4 marzo 2009, n. 15, in materia di ottimizzazione della produttività del lavoro 
pubblico e di efficienza e trasparenza delle pubbliche amministrazioni, cd. Decreto 
Brunetta (e si richiamano anche le Linee guida in materia di trattamento di dati personali, 
contenuti anche in atti e documenti amministrativi, effettuato per finalità di pubblicità e 
trasparenza sul web da soggetti pubblici e da altri enti obbligati. adottato dall’Autorità 
Garante, prescrivono di rendere visibile al pubblico, rispetto a taluni soggetti, informazioni 
personali concernenti il percorso di studi e le esperienze professionali rilevanti, nella forma 
del curriculum redatto in conformità al vigente modello europeo, nonché gli importi dei 
corrispettivi e dei compensi percepiti. Il trattamento previsto si traduce, ad ogni modo, in 
una diffusione di dati personali (comuni); La diffusione di dati personali “comuni” da parte 
di un soggetto pubblico, può avvenire quando è prevista espressamente da disposizioni di 
legge o, nei casi previsti dalla legge, di regolamento ai sensi dell’art. 2-ter comma 3 del 
Codice, anche mediante l'uso delle tecnologie telematiche (art. 3 D.Lgs 7 marzo 2005, n. 
82 Codice dell'amministrazione digitale). Il decreto trasparenza pone un termine generale 
di mantenimento online delle informazioni pari a 5 anni. Le uniche eccezioni riguardano: 


- gli atti che producono ancora i loro effetti alla scadenza dei cinque anni, che 
devono rimanere pubblicati fino a che non cessa la produzione degli effetti (es. 
le informazioni riferite ai vertici e ai dirigenti della P.A., che vengono aggiornati e 
possono restare online oltre i cinque anni, fino alla scadenza del loro mandato); 
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- i dati riguardanti i titolari di incarichi politici, i dirigenti, i consulenti e i 
collaboratori (che devono rimanere pubblicati per i 3 anni successivi alla 
scadenza dell'incarico); 

- i dati per i quali è previsto un termine diverso dalla normativa in materia di 
privacy 


I diritti dell’interessato 
Lei ha diritto di: 
- ottenere in qualsiasi momento informazioni sull’utilizzo dei suoi dati; 
- accedere ai suoi dati personali; 
- chiederne la rettifica o l’integrazione; 
- chiedere, in alcune ipotesi previste dalla normativa, la limitazione del 
trattamento; 
- opporsi al trattamento dei dati personali che la riguardano; 
- revocare il consenso eventualmente previsto (senza pregiudicare la liceità del 
trattamento effettuato prima della revoca). 


Per esercitare i diritti sopra citati, l'interessato può inviare richiesta al Responsabile della 
protezione dei dati personali, i cui dati di contatto sono più sotto riportati. 

L'interessato ha, altresì, diritto di presentare reclamo al Garante per la protezione dei dati 
personali. 


Dati di contatto 

Titolare del trattamento dei dati è l'Azienda Ospedaliero-Universitaria Careggi, con sede 
legale in L.go Brambilla 3 50134 Firenze. 

Rappresentante Legale: Direttore Generale pro tempore, tel.0557949501, e-mail 
segreteriadg@aou-careggi.toscana.it aoucareggi@pec.it 

Responsabile per la protezione dei dati personali, tel.0557979067 3666823917, e-mail: 
rpd@aou-careggi.toscana.it 

Autorità di controllo: Garante per la protezione dei dati personali, www.garanteprivacy.it, e- 
mail garante@gpdp.it, centralino tel. 06696771 
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